Mapa artykułu
Spis treści
Poniżej opisujemy, o co najczęściej pytają klienci, jak przygotować odpowiedzi, które da się obronić, i co warto zrobić wcześniej — zanim ankieta wyląduje na skrzynce handlowca.
Dlaczego klienci coraz częściej sprawdzają software house’y
Software house ma dostęp do rzeczy, które dla klienta są najcenniejsze: kodu źródłowego, danych testowych (często kopii produkcji), kont w chmurze, paneli administracyjnych. Jeśli ktoś przejmie laptop programisty z zapisanym tokenem do AWS klienta, incydent dotyczy klienta, a nie tylko dostawcy.
Drugi powód to przepisy. Dyrektywa NIS2 wprost wymaga od objętych nią firm zarządzania bezpieczeństwem łańcucha dostaw — czyli również oceny dostawców IT. W Polsce nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa obowiązuje od kwietnia 2026 r., więc banki, energetyka, transport, ochrona zdrowia czy duża produkcja mają formalny obowiązek pytać. Więcej o tym, kogo obejmuje ustawa, piszemy w tekście o wykazie podmiotów KSC.
Ankieta bezpieczeństwa dostawcy nie sprawdza, czy masz ładną politykę w PDF-ie. Sprawdza, czy umiesz pokazać, że coś faktycznie działa.
O co pyta typowa ankieta bezpieczeństwa dostawcy
Formularze różnią się długością, ale pytania powtarzają się niemal zawsze. Zebraliśmy je w tabeli razem z tym, co warto mieć jako dowód, a nie tylko deklarację „tak”.
| Obszar w ankiecie | Typowe pytanie | Co pokazać jako dowód |
|---|---|---|
| Urządzenia | Czy dyski laptopów są szyfrowane? | Raport z systemu zarządzania urządzeniami (np. Intune) z listą sprzętu i statusem szyfrowania |
| Tożsamość | Czy stosujecie MFA? | Polityka dostępu warunkowego i lista kont bez wyjątków (albo z uzasadnionymi wyjątkami) |
| Dostępy | Jak odbieracie dostęp po odejściu pracownika? | Opisana procedura offboardingu i przykładowy zamknięty wniosek |
| Kod | Kto ma dostęp do repozytoriów klienta? | Zrzut uprawnień w GitHub/GitLab/Bitbucket i zasada przeglądu co kwartał |
| Kopie zapasowe | Czy testujecie odtwarzanie? | Raport z ostatniego testu odtworzenia, a nie tylko z wykonania kopii |
| Incydenty | Jak szybko poinformujecie nas o incydencie? | Procedura z osobami kontaktowymi i czasem zgłoszenia zapisanym w umowie |
| Ludzie | Czy pracownicy przechodzą szkolenia? | Lista szkoleń, wyniki testów phishingowych, data ostatniej edycji |
| Certyfikaty | Czy macie ISO/IEC 27001? | Certyfikat albo uczciwa odpowiedź „nie” i opis stosowanych zabezpieczeń |
Brak ISO 27001 nie zawsze przekreśla współpracę. Dużo gorzej wypada odpowiedź „tak” na pytanie o MFA, gdy audytor klienta po miesiącu znajdzie konto współdzielone bez drugiego składnika.
Najsłabsze punkty IT w software house’ach
Kiedy przeglądamy IT w firmach programistycznych, zwykle wychodzą te same rzeczy. Nie wynikają z niedbałości — raczej z tego, że firma rosła szybciej niż porządek w IT.
Laptopy bez centralnego zarządzania
Każdy programista sam postawił system, sam ustawił hasło i sam decyduje o aktualizacjach. Nikt nie wie, ile urządzeń ma dostęp do kodu klientów i czy wszystkie są zaszyfrowane.
Dostępy rozsiane po dziesięciu narzędziach
Repozytoria, Jira, Slack, konta w chmurze, panele klientów, menedżer haseł. Bez jednego logowania (SSO) offboarding to lista do odhaczenia, na której zawsze czegoś brakuje.
Dane testowe skopiowane z produkcji
Szybki zrzut bazy klienta na lokalny komputer „żeby odtworzyć błąd” to jedno z najczęstszych ryzyk. Jeśli baza zawiera dane osobowe, to problem także z perspektywy RODO.
Kontraktorzy B2B na takich samych prawach jak etatowcy
Osoba współpracująca przy jednym projekcie często ma dostęp do całej organizacji w repozytorium. Zasada minimalnych uprawnień dotyczy też jej.
Jak przygotować odpowiedzi krok po kroku
- Zrób inwentaryzację. Spisz urządzenia, konta, narzędzia SaaS i środowiska w chmurze. Bez tego każda odpowiedź w ankiecie jest zgadywaniem.
- Zamknij szybkie braki. MFA na wszystkich kontach, szyfrowanie dysków, blokada kont po byłych pracownikach — to zwykle kilka dni pracy, a robi największą różnicę.
- Opisz to, co już robicie. Krótkie procedury (offboarding, kopie, incydenty) na jedną–dwie strony każda. Lepsza krótka procedura, której się trzymacie, niż czterdzieści stron szablonu.
- Zbierz dowody. Raporty z systemów, zrzuty konfiguracji, wynik testu odtwarzania kopii. Trzymaj je w jednym folderze, bo kolejny klient zapyta o to samo.
- Odpowiadaj uczciwie. Jeśli czegoś nie macie, napisz, kiedy to wdrożycie. Klienci akceptują plan, nie akceptują wpadki wykrytej po podpisaniu umowy.
- Ustal właściciela tematu. Jedna osoba (albo zewnętrzny partner IT) aktualizuje odpowiedzi i dowody co kwartał.
Jeśli chcesz sprawdzić, czy Twoja firma sama podlega przepisom KSC, skorzystaj z naszego narzędzia do samoidentyfikacji KSC/NIS2. Pełną ocenę zgodności przeprowadzamy w ramach audytu NIS2.
Co wdrożyć, zanim przyjdzie pierwsza ankieta
Nie trzeba od razu certyfikować się na ISO 27001. Dla firmy liczącej kilkanaście czy kilkadziesiąt osób rozsądne minimum wygląda tak:
- zarządzanie urządzeniami — szyfrowanie, aktualizacje i zdalne czyszczenie laptopów, np. w Microsoft Intune,
- jedno konto firmowe z MFA i logowanie SSO do narzędzi deweloperskich,
- EDR na stacjach roboczych zamiast samego darmowego antywirusa,
- kopie zapasowe poczty, dokumentów i serwerów z regularnym testem odtworzenia — opisujemy to na stronie backup danych dla firm,
- przegląd uprawnień do repozytoriów i chmury raz na kwartał,
- krótkie szkolenie z phishingu dla całego zespołu — także dla programistów, którzy „przecież się znają” (szkolenia z cyberbezpieczeństwa).
To również zestaw, od którego zaczynamy, kiedy przejmujemy obsługę IT software house’u. Po kilku tygodniach firma ma nie tylko lepsze zabezpieczenia, ale też gotowe dowody do kolejnych ankiet.
Ankieta jako argument sprzedażowy
Software house, który odsyła wypełnioną ankietę w dwa dni, z dowodami w załączniku, wygląda zupełnie inaczej niż konkurent proszący o trzy tygodnie. Dla działu zakupów to sygnał, że z tym dostawcą nie będzie problemów przy audycie.
Warto to pokazać także na stronie: krótka sekcja „Bezpieczeństwo” z opisem stosowanych zabezpieczeń pomaga zarówno klientom, jak i asystentom AI, które coraz częściej odpowiadają na pytania o wybór wykonawcy. O tym, jak budować taką widoczność, piszemy na stronie SEO dla software house.
Najczęstsze pytania
Czy mały software house musi mieć ISO 27001?
Nie ma takiego obowiązku. Część klientów wymaga certyfikatu w przetargach, ale większość akceptuje opis zabezpieczeń i dowody techniczne, jeśli są konkretne.
Czy NIS2 obejmuje software house’y?
Zależy od wielkości firmy i rodzaju usług. Nawet gdy ustawa nie obejmuje firmy bezpośrednio, wymagania przychodzą od klientów, którzy muszą oceniać swoich dostawców.
Ile trwa przygotowanie do pierwszej ankiety?
Przy kilkunastu osobach i braku porządku w IT — zwykle kilka tygodni na inwentaryzację, szybkie poprawki i procedury. Kolejne ankiety idą już dużo szybciej.
Kto w firmie powinien odpowiadać za ankiety?
Najlepiej jedna osoba, która zna IT firmy, albo zewnętrzny partner prowadzący obsługę informatyczną. Ważne, żeby odpowiedzi były spójne między klientami.
Czy można odpowiedzieć „nie” na część pytań?
Tak, i często warto. „Nie, wdrożymy do końca kwartału” buduje więcej zaufania niż „tak”, którego nie da się potwierdzić.
Jeśli chcesz uporządkować IT przed kolejną ankietą klienta, napisz do nas — zaczynamy od bezpłatnej rozmowy online.
